Enumeración local de Linux desde una cuenta limitada

1. Enumera por preguntas, no por cantidad de salida

La enumeración local convierte una shell limitada en un inventario explicable. Recorre cinco preguntas en orden: qué identidad aplica, qué sistema la contiene, qué puede leer o escribir, qué actividad está en marcha y qué configuración explica esa actividad. El objetivo es comparar con un baseline, no coleccionar todo lo visible.

• □Activo, horario, cuenta y rutas autorizadas están documentados
• □La cuenta permanece sin privilegios y no se usará sudo, su ni exploits
• □La salida se limita por ruta, profundidad y número de filas
• □Historial, entorno y configuraciones se revisan en pantalla antes de exportar
• □Secretos, datos personales y contenido ajeno quedan fuera del informe

2. Identidad, kernel, distribución y cuentas

id informa de los identificadores reales y efectivos del proceso actual; esos valores son los que importan al evaluar acceso. uname describe el kernel y la arquitectura, mientras que/etc/os-release identifica la distribución. Registra ambos: una versión de distribución no basta para deducir el kernel en ejecución, y viceversa.

/etc/passwd contiene siete campos por cuenta: nombre, marcador de contraseña, UID, GID, comentario, directorio personal y shell. En instalaciones modernas, una x en el segundo campo indica que el material de autenticación está separado; esta guía no intenta leer /etc/shadow. Filtra solo los campos necesarios y distingue cuentas interactivas de identidades de servicio sin asumir que una shell válida demuestra que la cuenta esté en uso.

Una entrada con UID 0 identifica privilegio de superusuario; no demuestra por sí sola una puerta trasera. Una shell como /usr/sbin/nologin suele señalar una cuenta no interactiva, pero el servicio todavía puede iniciar procesos con esa identidad. Correlaciona cuenta, proceso y unidad antes de concluir.

3. Rutas, propietarios y permisos desde tu propio límite

Los permisos se evalúan en cada componente de una ruta. namei -l muestra ese recorrido;stat traduce propietario, grupo y modo. Empieza por tu directorio personal y por una raíz de aplicación incluida en el alcance. No lances búsquedas desde / ni conviertas un archivo escribible en una prueba de modificación: la observación del modo basta para abrir una revisión.

Para una aplicación, sustituye la variable por una única ruta autorizada. El comando solo lista metadatos y limita la profundidad. Si la ruta no existe o no es legible, conserva el error; no amplíes el árbol ni ocultesstderr para hacer que el resultado parezca limpio.

4. Procesos, servicios, temporizadores y cron

Un proceso es una instancia en ejecución; un servicio es una unidad gestionada; cron y los temporizadores de systemd programan actividad. Cruza estas vistas sin detener nada. ps ofrece una fotografía, por lo que la hora de captura importa. systemctl puede no funcionar dentro de un contenedor o en un sistema que use otro init: ese mensaje describe el entorno, no un fallo que deba corregirse durante la evaluación.

Cron puede existir junto a systemd. crontab -l consulta únicamente la tabla del usuario actual; los directorios de /etc muestran tareas administradas por el sistema que sean legibles. No ejecutes scripts encontrados ni edites tablas para «comprobar» su efecto.

5. Variables de entorno, historial y configuraciones sin filtrar secretos

El entorno pasa pares nombre-valor a los procesos hijos y puede contener información sensible. Empieza por los nombres; muestra valores solo de variables operativas conocidas. No vuelques env,printenv completo ni /proc/*/environ en un informe. Una variable con nombre sugerente es una pista de configuración, no permiso para divulgar su valor.

Bash guarda las órdenes antes de expandir parámetros, pero un usuario puede haber escrito secretos literalmente. Revisa únicamente tu historial y solo en pantalla. history es un builtin de Bash; puede estar vacío en shells no interactivas, desactivado o pendiente de escribirse en HISTFILE. No uses cat ~/.bash_history, no copies líneas sensibles y no reejecutes entradas con! ni fc.

Para configuraciones, empieza por archivos de inicio y metadatos de ubicaciones conocidas. Después lee solo el archivo concreto necesario para explicar un servicio. Nunca hagas búsquedas masivas de palabras comopassword, token o secret; encontrar y exponer un secreto no es necesario para demostrar que una configuración está demasiado accesible.

6. Ejercicio: crea un informe local saneado

Ejecuta el ejercicio en una VM desechable con una cuenta sin sudo. El informe excluye valores de entorno, historial y contenido de configuraciones. Guarda solo identidad, plataforma, cuentas normalizadas, procesos, unidades, temporizadores y nombres de variables. umask 077 limita el acceso a los archivos nuevos del usuario actual.

Si el host no usa systemd, conserva el error en tu bitácora y omite esos dos archivos; no instales nada. Revisa manualmente cada salida antes de compartirla. El cierre correcto muestra OK para cada archivo incluido y una nota separada con observaciones, inferencias y límites.

7. Cómo interpretar, reportar y defender

La defensa convierte el mismo inventario en controles: cuentas de servicio sin login interactivo, permisos mínimos en rutas y unidades, temporizadores con propietario conocido, variables sensibles fuera del entorno, historiales configurados para reducir exposición y configuraciones comparadas con una baseline. La remediación debe preservar la función del servicio y validarse en una ventana de cambio.

• □La identidad observada sigue siendo la cuenta limitada autorizada
• □Kernel y distribución están registrados por separado
• □Las cuentas de /etc/passwd se interpretan por UID, home y shell, no por nombre
• □Las búsquedas de permisos se limitaron a HOME y a una raíz autorizada
• □Procesos, servicios, timers y cron se correlacionaron sin ejecutar ni modificar nada
• □El informe contiene nombres de variables, nunca valores sensibles
• □El historial solo se revisó en pantalla y no forma parte de la evidencia exportada
• □Los hashes verifican todos los archivos del artefacto final
• □Cada hallazgo separa observación, inferencia, riesgo contextual y validación pendiente

Glosario